La décision de la CNIL de clôturer une plainte relative au droit d’accès aux données personnelles peut faire l’objet d’un recours pour excès de pouvoir. Les plaignants doivent être vigilants quant aux délais de réponse, car un silence de la CNIL de trois mois équivaut à un rejet implicite.
La seconde requête, sous le n° 500895, concerne une décision implicite de rejet de la CNIL suite à une nouvelle plainte déposée le 24 octobre 2024. L’administré soutient que le silence de la CNIL pendant trois mois équivaut à un rejet de sa plainte et demande également des informations sur l’état d’avancement de celle-ci.
Le Conseil d’État a joint les deux requêtes pour statuer ensemble. Il a rappelé que la CNIL a l’obligation d’examiner les plaintes et de décider des suites à donner, tout en ayant un large pouvoir d’appréciation. Concernant la première requête, le Conseil a jugé que la CNIL avait correctement rappelé à la commune ses obligations légales et que l’administré n’était pas fondé à demander l’annulation de la décision de clôture. Pour la seconde requête, le Conseil a noté que la CNIL avait poursuivi l’instruction de la plainte au-delà du délai de trois mois, ce qui a annulé la décision implicite de rejet. En conséquence, le Conseil a rejeté la première requête et n’a pas statué sur la seconde. Les conclusions de la CNIL concernant une amende à l’encontre de l’administré ont également été rejetées.
Dans cette affaire, le plaignant a vu sa demande d’annulation de la décision de la CNIL rejetée, ce qui signifie qu’il ne pourra pas obtenir de sanction dissuasive contre la commune de Montreuil pour le traitement de ses données personnelles. La CNIL, quant à elle, a réussi à maintenir sa décision de clôture de la plainte, mais doit veiller à respecter ses obligations d’information envers les plaignants à l’avenir.
La règle de droit applicable en matière de droit d’accès aux données à caractère personnel est régie par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, ainsi que par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Selon l’article 12 du RGPD, le responsable de traitement doit répondre à une demande d’accès dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande.
La recevabilité d’une plainte auprès de la CNIL est conditionnée par l’existence d’un manquement allégué à la législation sur la protection des données personnelles. En vertu de l’article 77 du RGPD, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. La CNIL doit informer l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation.
La CNIL dispose d’un large pouvoir d’appréciation lors de l’examen d’une plainte, conformément aux dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978. Elle peut tenir compte de la gravité des manquements allégués, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été, et de l’ensemble des intérêts généraux dont elle a la charge.
Le juge de l’excès de pouvoir examine si la CNIL a respecté ses obligations légales en matière d’information et de traitement des plaintes. Il vérifie si la CNIL a procédé à un rappel des obligations légales du responsable de traitement et si elle a informé le plaignant des possibilités de recours en cas de manquement persistant. Le juge s’assure également que la décision de la CNIL ne souffre pas d’une erreur d’appréciation.
Conformément à l’article 10 du décret du 29 mai 2019, le silence gardé pendant trois mois par la CNIL sur une réclamation vaut décision de rejet. Toutefois, si la CNIL poursuit l’instruction de la plainte au-delà de ce délai, cela entraîne le retrait de la décision implicite de rejet, et le juge n’a pas à statuer sur les conclusions aux fins d’annulation et d’injonction présentées par le plaignant.
Les conclusions de la CNIL tendant à ce que le plaignant soit condamné à une amende en application de l’article R. 741-12 du code de justice administrative ne sont pas recevables, car cette faculté constitue un pouvoir propre du juge.
RÉPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
Vu les procédures suivantes :
1° Sous le n° 497866, par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 13 septembre 2024, 28 avril et 13 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, M. B… A… demande au Conseil d’Etat :
2° Sous le n° 500895, par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 25 janvier, 30 juin et 13 décembre 2025 au secrétariat du contentieux du Conseil d’Etat, M. A… demande au Conseil d’Etat :
…………………………………………………………………………
Vu les autres pièces des dossiers ;
Vu :
Après avoir entendu en séance publique :
Vu la note en délibéré, enregistrée le 21 décembre 2025, présentée par M. A… ;
Considérant ce qui suit :
1. Les deux requêtes de M. A… présentent à juger les mêmes questions. Il y a lieu de les joindre pour statuer par une seule décision.
2. Il ressort des pièces du dossier que, le 9 juillet 2024, M. A… a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de la commune de Montreuil relative à l’exercice de son droit d’accès aux données à caractère personnel le concernant en lien avec son inscription sans consentement à une « newsletter ». Par un courrier du 18 juillet 2024, la CNIL a informé le requérant, d’une part, de son intervention auprès du responsable de traitement, et d’autre part, de la clôture de la plainte. Sous le n° 497866, M. A… demande au Conseil d’Etat d’annuler pour excès de pouvoir cette décision. Le 24 octobre 2024, M. A… a saisi la CNIL d’une nouvelle plainte dirigée contre la commune de Montreuil. Sous le n° 500895, il demande l’annulation pour excès de pouvoir de la décision implicite de rejet née du silence gardé par la CNIL durant trois mois sur sa réclamation.
Sur la requête n° 497866 :
3. Il résulte des dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qu’il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. À cet effet, elle dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge.
4. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Lorsqu’il se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.
5. Il ressort des pièces du dossier que la CNIL, saisie de la plainte de M. A…, a décidé de rappeler la commune de Montreuil à ses obligations légales résultant de l’article 12 du RGPD, en lui indiquant qu’il lui appartenait de répondre à une demande d’accès dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande. Elle a également informé le responsable de traitement des possibilités de prolonger le délai et de l’obligation d’informer le demandeur des motifs d’un éventuel refus, ainsi que de la possibilité d’introduire une réclamation auprès de la CNIL et de former un recours juridictionnel.
6. En premier lieu, la circonstance que la CNIL n’aurait pas suffisamment informé l’auteur de la plainte de l’état de son avancement est sans incidence sur la légalité de la décision attaquée.
7. En deuxième lieu, le requérant n’est, en tout état de cause, pas fondé à soutenir qu’en invitant l’auteur d’une plainte à la saisir de nouveau en cas de persistance du manquement après qu’elle a procédé à un premier rappel auprès du responsable de traitement, la CNIL ferait peser une charge excessive sur le plaignant.
8. En troisième et dernier lieu, il ressort des termes mêmes de la décision attaquée qu’elle se fonde sur le rappel du responsable du traitement à ses obligations légales, auquel la CNIL a parallèlement procédé, tout en invitant M. A…, dans l’hypothèse où le responsable de traitement ne donnerait pas suite à sa demande, à saisir la CNIL d’une nouvelle réclamation. Elle n’a, ce faisant, dans les circonstances de l’espèce, pas entaché sa décision de clôture de plainte d’une erreur d’appréciation.
9. Il résulte de tout ce qui précède que le requérant n’est pas fondé à demander l’annulation de la décision qu’il attaque. Ses conclusions à fin d’injonction ne peuvent, par suite, qu’être rejetées.
Sur la requête n° 500895 :
10. D’une part, en application de l’article 77 du RGPD, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données à caractère personnel la concernant constitue une violation de ce règlement. Cette autorité de contrôle informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’exercer un recours juridictionnel en vertu de l’article 78 lorsque l’autorité de contrôle compétente ne traite pas sa réclamation ou n’informe pas la personne concernée, dans un délai de trois mois, de l’état d’avancement ou de l’issue de sa réclamation.
11. D’autre part, en application du d) du 2° du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL traite les réclamations et plaintes introduites par une personne concernée, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête est nécessaire. L’article 10 du décret du 29 mai 2019 pris pour l’application de cette loi précise que : » (…) Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet « .
12. M. A… demande l’annulation pour excès de pouvoir de la décision implicite de rejet née du silence gardé pendant trois mois par la CNIL sur sa plainte du 24 octobre 2024. Les indications données à M. A… lors de l’enregistrement de sa plainte ne peuvent être regardées, en l’espèce, comme ayant été de nature à faire obstacle à la naissance d’une décision implicite de rejet, en l’absence de toute information sur l’état d’avancement de son dossier dans le délai de trois mois. Il ressort toutefois des pièces du dossier que la CNIL a poursuivi l’instruction de sa plainte au-delà du délai de trois mois, procédant ainsi au retrait de sa décision implicite de rejet. Par suite, il n’y a pas lieu de statuer sur les conclusions aux fins d’annulation et d’injonction présentées par M. A….
Sur les conclusions de la CNIL tendant à l’application des dispositions de l’article R. 741-12 du code de justice administrative :
13. La faculté prévue par l’article R. 741-12 du code de justice administrative constituant un pouvoir propre du juge, les conclusions de la CNIL tendant à ce que M. A… soit condamné à une amende en application de ces dispositions ne sont pas recevables.
D E C I D E :
Article 1er : La requête n° 497866 de M. A… est rejetée.
Article 2 : Il n’y a pas lieu de statuer sur la requête n° 500895.
Article 3 : Le surplus des conclusions présentées par la CNIL sous le n° 500895 est rejeté.
Article 4 : La présente décision sera notifiée à M. B… A… et à la Commission nationale de l’informatique et des libertés.
Délibéré à l’issue de la séance du 18 décembre 2025 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et Mme Alexandra Poirson, auditrice-rapporteure.
Rendu le 31 décembre 2025.
Le président :
Signé : M. Bertrand Dacosta
La rapporteure :
Signé : Mme Alexandra Poirson
La secrétaire :
Signé : Mme Marie-Léandre Monnerville
ECLI:FR:CECHS:2025:497866.20251231
🇫🇷 Point juridique LegalPlanet.pro rédigé à partir de cette décision de justice Conseil d’État, 10ème chambre, 31/12/2025, 497866, Inédit au recueil Lebon — Thématiques associées : RGDP / CNIL — Recours contre la CNIL — Paternité des données brutes : Ministère de la justice — Licence Open Data — Date de dernière mise à jour des données réutilisées 5 février 2026.
Approfondir ce sujet :